Rate limiting adaptativo
Un límite fijo por IP es fácil de eludir e injusto con las redes compartidas. El rate limiting que funciona elige bien la clave, aprende el comportamiento normal y escala la respuesta.
Qué es
El restringe cuántas solicitudes puede hacer una entidad en una ventana de tiempo. Protege contra fuerza bruta, , scraping y agotamiento de recursos, y es una de las pocas defensas que funcionan incluso cuando el atacante envía tráfico que, solicitud por solicitud, parece válido.
La elección de la clave es la mitad del trabajo
Limitar por IP es el punto de partida, pero detrás de un NAT corporativo o de un operador móvil miles de usuarios legítimos comparten la misma IP, mientras que un atacante con una botnet reparte el tráfico entre miles de IPs. La clave correcta depende de lo que se protege:
- IP: simple, buena contra el abuso grosero, mala con NAT y botnets.
- Cuenta o identificador en el cuerpo (por ejemplo, el usuario intentado en el login): atrapa el ataque a una cuenta que llega desde muchas IPs.
- Token, cookie o cabecera de sesión: limita por cliente autenticado, no por red.
- ASN, país o fingerprint: útil como agregador para detectar oleadas coordinadas.
- Combinaciones (IP + ruta, cuenta + ASN): reducen los falsos positivos.
Ventanas, límites y la escalera de respuestas
En lugar de solo bloquear, escale la respuesta. Un primer exceso recibe un desafío, el segundo un bloqueo corto y la reincidencia un bloqueo más largo, siempre con plazo (TTL) para que el error de un día no se convierta en un castigo permanente.
# login: 10 intentos por minuto por IP, y 5 por minuto por cuenta intentada
match: (http.request.method eq "POST" and http.request.uri.path eq "/api/login")
counting: per ip.src -> 10 req / 60s
per login username -> 5 req / 60s (característica personalizada)
response: 1er exceso -> Managed Challenge
reincidencia -> Block, timeout 600sAdaptativo: el límite acompaña lo normal
Los límites fijos envejecen: una campaña de marketing duplica el tráfico legítimo y dispara bloqueos, y un atacante paciente se queda justo debajo del límite. El camino adaptativo usa el baseline de cada endpoint y ventana (por hora y día de la semana) y alerta o actúa cuando la desviación pasa un umbral, con o .
En la práctica, el límite estático sigue como techo de seguridad y el adaptativo se ocupa del comportamiento fino, siempre pasando por observación y shadow antes de bloquear.
Dónde debe vivir el límite
Idealmente en el borde, antes de que el tráfico cueste procesamiento en el origen. Pero algunos límites solo tienen sentido cerca de la aplicación (por usuario autenticado, por tenant), donde la identidad ya es conocida. Cada capa tiene su papel, tema del tópico de defensa en capas.
conexiones en el mapa
- Ingeniería de deteccióngenera límitesRate limiting adaptativo
- Defensa en capas: diseño de sistemas de bordedefine dónde viveRate limiting adaptativo
actualizado el 14/10/2026 · fuentes para profundizar · reportar un error
Estudia antes
Desbloquea
pon a prueba lo que entendiste
Cargando preguntas…